H5M Sicherheitscheck für Microsoft 365

Er liest die Einstellungen Ihres Microsoft 365 automatisch aus und prüft über 30 Punkte: Anmeldung und MFA, Administratorkonten einschließlich Notfallkonto, E-Mail-Absicherung mit SPF, DKIM, DMARC und den Schutzrichtlinien gegen Phishing (auch mit vorgeschaltetem Filterdienst), Freigaben und Gastzugänge, Einstellungen zu Apps sowie Lizenzen und Verwaltung. Dazu eine Liste der verbundenen Apps mit weitreichenden Rechten, ohne Wertung, zum Durchgehen. Einige Einstellungen in Exchange und Teams zeigt Microsoft nur in den eigenen Verwaltungsoberflächen; der Bericht nennt sie und beschreibt, wie Sie sie selbst nachsehen.

Ein Tool. Nach der Freigabe durch Ihren Administrator liest der Sicherheitscheck die Einstellungen Ihres Microsoft 365 über die Schnittstelle von Microsoft aus und bewertet jeden Punkt. Sie füllen keinen Fragebogen aus, niemand klickt sich von Hand durch Ihre Einstellungen, und statt einer Checkliste zum Abarbeiten erhalten Sie einen Bericht mit Ihren Ergebnissen und einem Maßnahmenplan. Vor der Übermittlung können wir einen Bericht zur Qualitätssicherung durchsehen und offensichtliche Fehlbewertungen berichtigen; einen Anspruch darauf gibt es nicht. Wer lieber selbst nachsieht, nimmt die kostenlose Checkliste Microsoft 365 Sicherheits-Selbstcheck.

Der Sicherheitscheck ist ein kostenpflichtiges Online-Tool: Nach der Freigabe durch einen globalen Administrator liest er die Einstellungen Ihres Microsoft 365 mit Leserechten aus, bewertet über 30 Prüfpunkte und liefert einen Bericht mit Maßnahmenplan. Die Checkliste „Microsoft 365 Sicherheits-Selbstcheck“ ist kostenlos: ein PDF mit 17 Punkten, das Sie per E-Mail erhalten und selbst durchgehen; sie liest nichts aus und bewertet nichts für Sie. Sie können die Checkliste kostenlos anfordern.

In drei Schritten: Sie bestellen online und bezahlen im Voraus über Stripe. Danach erhalten Sie eine E-Mail mit dem Freigabe-Link. Darüber meldet sich ein globaler Administrator bei Microsoft an und stimmt im selben Schritt für Ihr Unternehmen zu. Die Prüfung läuft dann automatisch. Den Bericht erhalten Sie als PDF zum Herunterladen; der Link kommt per E-Mail und gilt 30 Tage.

Für genau ein Microsoft 365: den Tenant zu der Domain, die Sie bei der Bestellung angeben, etwa die Ihrer E-Mail-Adressen. Bestellen Sie als IT-Dienstleister, ist es die Domain des betreuten Unternehmens. Vor der Zahlung prüfen wir, ob Microsoft zu dieser Domain ein Microsoft 365 kennt. Freigeben kann nur ein globaler Administrator (oder ein Administrator für privilegierte Rollen) genau dieses Tenants; eine Freigabe aus einem anderen Microsoft 365 nehmen wir nicht an. Für ein weiteres Microsoft 365 bestellen Sie bitte noch einmal.

Ein globaler Administrator Ihres Microsoft 365 (oder ein Administrator für privilegierte Rollen): Er stimmt über den Freigabe-Link bei Microsoft einmal zu. Sind Sie selbst keiner, leiten Sie die E-Mail mit dem Freigabe-Link an Ihren Administrator oder IT-Dienstleister weiter.

Nein. Die App hat nur Leserechte auf Einstellungen und Verzeichnisdaten, etwa Konten, Rollen, Richtlinien und die Art der eingerichteten Anmeldemethoden. Inhalte von Mails, Dateien und Chats sowie Kennwörter liest sie nicht, und ändern kann sie nichts.

Nein. Ein Kauf ist ein einmaliger Prüflauf für einen Microsoft-365-Tenant, ohne dauerhafte Überwachung. Wenn Sie nach eigenen Änderungen erneut prüfen möchten, bestellen Sie einfach noch einmal.

Wir lesen einmal und danach nicht mehr. Die App entfernen Sie mit wenigen Klicks in Microsoft Entra; die Schritte stehen im Bericht.

Sie haben 90 Tage ab der Bestellung Zeit; wir erinnern nach 14 und nach 76 Tagen. Kommt bis dahin keine Freigabe, verfällt der Auftrag; eine Erstattung gibt es dann grundsätzlich nicht. Sie können den Check aber einmal innerhalb von zwölf Monaten nach dem Verfall ohne erneute Zahlung nachholen; den Link dazu schicken wir Ihnen mit der Mitteilung zum Verfall. Danach haben Sie wieder 90 Tage für die Freigabe. Verweigert Microsoft den Zugriff nach der Zustimmung dauerhaft, etwa weil die App wieder entfernt wurde, fordern wir die Freigabe per E-Mail mit einem neuen Link erneut an, solange die Frist läuft.

Passt weder Ihre E-Mail-Adresse noch, bei einer Bestellung als IT-Dienstleister, die angegebene Domain des betreuten Unternehmens zum geprüften Microsoft 365, schicken wir den Bericht erst nach einer Rückfrage, die Sie etwa über den Link darin bestätigen. Bleibt sie 90 Tage unbestätigt, erlischt der Anspruch auf die Übermittlung. Beim Paket findet die Durchsprache dann nicht statt, und wir erstatten den Unterschied zwischen dem Preis des Pakets und dem Preis des Sicherheitschecks am Tag der Bestellung, einschließlich Umsatzsteuer.

Ja, einmal zum halben Preis: Für dasselbe Microsoft 365 können Sie einen Folge-Check bestellen, gleich nach Ihrem Bericht und ohne Wartezeit, bis zu dem Tag, den die E-Mail mit Ihrem Bericht nennt; dieses Fenster ist mindestens sechs Monate lang. Es gilt der halbe Preis des Sicherheitschecks am Tag Ihrer Folge-Bestellung. Für ein anderes Microsoft 365 gilt er nicht.

Sicherheitscheck: 59 € netto, Einführungspreis für Bestellungen bis 31.12.2026. Ab 01.01.2027: 69 € netto. Sicherheitscheck mit Durchsprache: 199 € netto. Durchsprache (nur nach Kauf des Sicherheitschecks, dazubuchbar bis drei Monate nach dem Bericht): 150 € netto. Jeweils zuzüglich 19 % Umsatzsteuer, Zahlung im Voraus über Stripe.

Nein. Aktionscodes gelten nur für den Sicherheitscheck, nicht für das Paket mit Durchsprache, die Durchsprache und den Folge-Check. Sie lösen den Code bei der Bestellung ein; je Bestellung gilt ein Code, und er lässt sich nicht mit anderen Nachlässen verbinden. Höhe und Gültigkeit nennt die jeweilige Aktion.

Direkt nach der Zahlung per E-Mail, als elektronische Rechnung (ZUGFeRD) über den gesamten Betrag. Es ist eine Rechnung über eine Vorauszahlung; nach dem Bericht, bei einem Verfall und beim Nachholen folgt keine weitere Rechnung. Erstatten wir etwas, erhalten Sie eine Rechnungskorrektur. Die Auftragsbestätigung und die Zahlungsbestätigung von Stripe sind keine Rechnungen.

Ja, bis zur Übermittlung des Berichts jederzeit in Textform, etwa per E-Mail an info@h5m.de. Kündigen Sie vor dem Bericht, rechnen wir nach § 648 BGB ab: Es bleibt der vereinbarte Preis abzüglich dessen, was wir durch die Kündigung sparen oder anderweitig verdienen; die Berechnung legen wir Ihnen auf Wunsch dar. Voll erstattet wird der Preis, wenn wir den Bericht nicht erstellen können, etwa weil Microsoft den Zugriff sperrt.

Wir besprechen den Bericht gemeinsam mit Ihnen, 45 Minuten lang, per Microsoft Teams oder Telefon: Wir gehen die Befunde durch und beantworten Ihre Fragen. Die Behebung gehört nicht dazu.

Den Termin buchen Sie nach dem Bericht selbst über den Link in unserer E-Mail, innerhalb von drei Monaten; danach verfällt der Anspruch, und eine Erstattung gibt es dann grundsätzlich nicht. Absagen oder verlegen können Sie bis 24 Stunden vor dem Termin.

Die Umsetzung ist nicht Teil des Sicherheitschecks. Auf Wunsch übernehmen wir sie gesondert, etwa im Rahmen unserer Microsoft 365 Betreuung. Beauftragen Sie innerhalb von drei Monaten nach dem Bericht eine laufende Betreuung bei uns, rechnen wir den Preis des Sicherheitschecks an, beim Paket den Einzelpreis des Checks.

Ja, wenn Sie das Microsoft 365 Ihres Kunden als Auftragsverarbeiter betreuen. Wählen Sie im Bestellformular „Als IT-Dienstleister für ein betreutes Unternehmen“ und tragen Sie Firma und Domain Ihres Kunden ein. Ihr Kunde muss genehmigt haben, dass die High5Manufaktur GmbH als weiterer Auftragsverarbeiter eingesetzt wird. Die Freigabe erteilt ein Administrator dieses Microsoft 365, den Bericht erhalten Sie. Eine Administratorrolle nur über die Partnerverwaltung (GDAP) genügt dafür nicht; nötig ist ein Konto im Tenant Ihres Kunden, auch als Gast, mit der Rolle „Globaler Administrator“ oder „Administrator für privilegierte Rollen“. Eine Bestellung gilt für genau ein Microsoft 365; für mehrere Kunden bestellen Sie je Kunde einmal. Bestellen Sie nur im Namen Ihres Kunden, geben Sie bitte ihn selbst als bestellendes Unternehmen an.

Mit den üblichen Business- und Enterprise-Plänen, für Tenants bis 1.000 Benutzerkonten. Einzelne Punkte, für die Microsoft eine bestimmte Lizenz voraussetzt, weist der Bericht als „nicht prüfbar“ aus, statt zu raten.

Es gibt drei Wege. Der Microsoft Secure Score im Microsoft Defender-Portal liefert eine Kennzahl mit Empfehlungen. Mit einer Checkliste wie unserem kostenlosen Selbstcheck sehen Sie die wichtigsten Einstellungen selbst nach. Ein Tool wie der H5M Sicherheitscheck liest die Einstellungen automatisch aus, bewertet jeden Punkt und sortiert die Maßnahmen nach Dringlichkeit.

Eine Kennzahl von Microsoft im Microsoft Defender-Portal, auf Deutsch Microsoft-Sicherheitsbewertung: Je mehr der empfohlenen Sicherheitsmaßnahmen in Ihrem Tenant umgesetzt sind, desto höher der Wert. Als Einstieg ist sie nützlich, sagt aber nicht, welche Lücke Sie zuerst schließen sollten. Im Sicherheitscheck steht der Secure Score als Kennzahl; die Maßnahmen sind nach Dringlichkeit sortiert.